KR20130027096A - 내장 ｕｉｃｃ 환경에서의 신뢰성 있는 ｓｍ을 이용한 가입 방법 및 내장 ｕｉｃｃ 장치 - Google Patents

Abstract

본 발명은 SM이 SM-SR(Secure Routing) 및 SM-DP(Data Preparation)으로 분리 구현되는 환경에서, eUICC 내부에 1 이상의 MNO에 대한 MNO 프로파일의 복호화 및 SM-SR 키 및 MNO 키를 복호화할 수 있는 보호 프로파일(Protection Profile)을 이용하는 방법을 제공한다.

Description

내장 ＵＩＣＣ 환경에서의 신뢰성 있는 ＳＭ을 이용한 가입 방법 및 내장 ＵＩＣＣ 장치{Subscription Method for Embedded UICC using Trusted Subscription Manager and Embedded UICC Architecture therefor}

내장 UICC 환경에서의 신뢰성 있는 SM을 이용한 가입 방법 및 내장 UICC 장치 또는 아키텍처에 관한 것이다.

UICC(Universal Integrated Circuit Card)는 단말기 내에 삽입되어 사용자 인증을 위한 모듈로서 사용될 수 있는 스마트 카드이다. UICC는 사용자의 개인 정보 및 사용자가 가입한 이동 통신 사업자에 대한 사업자 정보를 저장할 수 있다. 예를 들면, UICC는 사용자를 식별하기 위한 IMSI(International Mobile Subscriber Identity)를 포함할 수 있다. UICC는 GSM(Global System for Mobile communications) 방식의 경우 SIM(Subscriber Identity Module) 카드, WCDMA(Wideband Code Division Multiple Access) 방식의 경우 USIM(Universal Subscriber Identity Module) 카드로 불리기도 한다.

사용자가 UICC를 사용자의 단말에 장착하면, UICC에 저장된 정보들을 이용하여 자동으로 사용자 인증이 이루어져 사용자가 편리하게 단말을 사용할 수 있다. 또한, 사용자가 단말을 교체할 때, 사용자는 기존의 단말에서 탈거한 UICC를 새로운 단말에 장착하여 용이하게 단말을 교체할 수 있다.

소형화가 요구되는 단말, 예를 들면 기계 대 기계(Machine to Machine, M2M) 통신을 위한 단말은 UICC를 착탈할 수 있는 구조로 제조할 경우 단말의 소형화가 어려워진다. 그리하여, 착탈할 수 없는 UICC인 내장 UICC(Embedded UICC) 구조가 제안되었다. 내장 UICC는 해당 UICC를 사용하는 사용자 정보가 IMSI 형태로 수록되어야 한다.

기존의 UICC는 단말에 착탈이 가능하여, 단말의 종류나 이동 통신 사업자에 구애받지 않고 사용자는 단말을 개통할 수 있다. 그러나, 단말을 제조할 때부터 제조된 단말은 특정 이동 통신 사업자에 대해서만 사용된다는 전제가 성립되어야 내장 UICC 내의 IMSI를 할당할 수 있다. 단말을 발주하는 이동 통신 사업자 및 단말 제조사는 모두 제품 재고에 신경을 쓸 수 밖에 없고 제품 가격이 상승하는 문제가 발생하게 된다. 사용자는 단말에 대해 이동 통신 사업자를 바꿀 수 없는 불편이 있다. 그러므로, 내장 UICC의 경우에도 이동 통신 사업자에 구애받지 않고 사용자가 단말을 개통할 수 있는 방법이 요구된다.

한편, 최근 내장 UICC의 도입으로 인하여 여러 이통통신 사업자의 가입자 정보를 원격에서 UICC로 업데이트 할 필요가 생기게 되었고, 그에 따라 가입자 정보 관리를 위한 가입 관리 장치(Subscription Manager; 이하 ‘SM’이라 함) 또는 프로파일 관리장치(Profile Manager; 이하 ‘PM’이라 함)가 논의되고 있다.

이러한 SM은 주로 내장 UICC에 대한 정보 관리와, 여러 이통통신 사업자에 대한 정보 관리와, 이동통신 사업자 변경시 그에 대한 인증 및 원격 정보 변경 등의 기능을 담당하는 것으로 논의되고 있으나, 정확한 기능이나 역할에 대해서는 아직 결정된 바가 없는 실정이다.

본 발명은 내장 UICC 환경에서의 신뢰성 있는 SM을 이용한 가입 방법 및 내장 UICC 장치를 제공한다.

본 발명의 다른 목적은 SM이 SM-SR(Secure Routing) 및 SM-DP(Data Preparation)으로 분리 구현되는 환경에서, 내장 UICC를 관리하는 방법을 제공하는 것이다.

본 발명의 또다른 목적은 SM이 SM-SR(Secure Routing) 및 SM-DP(Data Preparation)으로 분리 구현되는 환경에서, eUICC 내부에 1 이상의 MNO에 대한 MNO 프로파일의 복호화 및 SM-SR 키 및 MNO 키를 복호화할 수 있는 보호 프로파일(Protection Profile)을 이용하는 방법을 제공하는 것이다.

본 발명의 또다른 목적은 SM이 SM-SR(Secure Routing) 및 SM-DP(Data Preparation)으로 분리 구현되는 환경에서, eUICC가 실제 개통을 요청하기 위한 SM-SR 접속정보 및 해당 SM-SR과 관계를 가지고 있는 MNO 식별정보(MNO 식별키)를 최초 가입 프로파일(First Subscription Profile)로 저장/관리하는 방법을 제공하는 것이다.

본 발명의 다른 목적은 eUICC 내부의 아키텍처로서, MNO 프로파일의 변경 등을 인증하기 위한 SM-SR 인증정보(SM-SR 키)와, 개통 후 특정 MNO의 부가서비스 관리 등을 인증하기 위한 MNO 인증정보(MNO 키)를 저장/관리하는 방법을 제공한다.

본 발명의 일 실시예는, SM이 SM-SR(Secure Routing) 및 SM-DP(Data Preparation)으로 분리 구현되는 환경에서, eUICC 내부에 1 이상의 MNO에 대한 MNO 프로파일의 복호화 및 SM-SR 키 및 MNO 키를 복호화할 수 있는 보호 프로파일(Protection Profile)을 이용하는 방법을 제공한다.

본 발명의 다른 실시예는 eUICC가 실제 개통을 요청하기 위한 SM-SR 접속정보 및 해당 SM-SR과 관계를 가지고 있는 MNO 식별정보(MNO 식별키)를 최초 가입 프로파일(First Subscription Profile)로 저장/관리하는 방법을 제공하는 것이다.

본 발명의 다른 실시예는 eUICC 내부의 아키텍처로서, MNO 프로파일의 변경 등을 인증하기 위한 SM-SR 인증정보(SM-SR 키)와, 개통 후 특정 MNO의 부가서비스 관리 등을 인증하기 위한 MNO 인증정보(MNO 키)를 저장/관리하는 방법을 제공한다.

도 1은 본 발명이 적용되는 eSIM(eUICC)을 포함한 전체 서비스 아키텍처를 도시한다.
도 2는 본 발명이 적용되는 전체 시스템에서 제1차 가입의 프로비저닝 과정의 일 실시예를 도시한다.
도 3은 본 발명이 적용되는 전체 시스템에서 가입 변경 또는 MNO 변경 과정의 일 실시예를 도시한다.
도 4는 본 발명의 일 실시예에 의한 사전 개통 요청 과정에서의 eUICCC 내부 구조 및 신호 흐름을 도시한다.
도 5는 본 발명의 일 실시예에 의한 사전 개통 접속 정보 주입 과정 에서의 eUICCC 내부 구조 및 신호 흐름을 도시한다.
도 6은 본 발명의 일 실시예에 의한 실제 개통 요청 후 키 정보를 받는 과정에서의 eUICCC 내부 구조 및 신호 흐름을 도시한다.
도 7은 본 발명의 일 실시예에 의한 프로비저닝(Provisioning) 과정에서의 eUICCC 내부 구조 및 신호 흐름을 도시한다.

이하, 본 발명의 일부 실시예들을 예시적인 도면을 통해 상세하게 설명한다. 각 도면의 구성요소들에 참조부호를 부가함에 있어서, 동일한 구성요소들에 대해서는 비록 다른 도면상에 표시되더라도 가능한 한 동일한 부호를 가지도록 하고 있음에 유의해야 한다. 또한, 본 발명을 설명함에 있어, 관련된 공지 구성 또는 기능에 대한 구체적인 설명이 본 발명의 요지를 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명은 생략한다.

현재 GSMA에서 활발하게 논의되는 M2M(Machine-to-Machine) 단말은 특성상 크기가 작아야 하는데, 기존 UICC를 사용하는 경우에는, M2M 단말에 UICC를 장착하는 모듈을 별도 삽입해야 하므로, UICC를 탈착가능한 구조로 M2M단말을 제조하게 되면, M2M 단말의 소형화가 힘들게 된다.

따라서, UICC 착탈이 불가능한 내장(Embedded) UICC 구조가 논의되고 있는데, 이때 M2M 단말에 장착되는 내장 UICC에는 해당 UICC를 사용하는 이동통신 사업자(Mobile Network Operator; 이하 ‘MNO’라 함)정보가 국제 모바일 가입자 식별자(International Mobile Subscriber Identity, IMSI) 형태로 UICC에 저장되어 있어야 한다.

그러나, M2M 단말을 제조할 때부터 제조된 단말은 특정 MNO에서만 사용한다는 전제가 성립되어야 내장 UICC내의 IMSI를 할당할 수 있으므로, M2M 단말 또는 UICC를 발주하는 MNO나 제조하는 M2M 제조사 모두 제품 재고에 많은 신경을 할당할 수 밖에 없고 제품 가격이 상승하게 되는 문제가 있어, M2M 단말 확대에 큰 걸림돌이 되고 있는 상황이다.

기존의 착탈식 형태의 SIM과는 달리 단말에 일체형으로 탑재되는 내장 SIM(Embedded SIM)인 eSIM 또는 eUICC는 그 물리적 구조 차이로 인해 개통 권한, 부가 서비스 사업 주도권, 가입자 정보 보안 등에 대한 많은 이슈들이 존재한다. 특히 UICC가 보드에 접합(solder)되어 나오기 때문에 기존의 가입개통, 권한 부여 가입 변경 등을 처리 하기 위해서는 소프트웨어 상의 Remote Provisioning Management가 필요한 상황이다. 이를 위해 SM(Subscription Manager)의 역할이 필요하게 될 것으로 예상 되며 이 SM은 기존의 MNOs들과 Trust관계를 유지 하거나 MNOs들이 자체 운영할 것으로 예상이 된다. 이에 따라 SM의 역할에 따른 가입절차 및 이를 위한 eUICC구조를 본 발명에서 제시 하도록 한다.

기존 USIM의 개통 절차는 일반적으로 USIM 벤더(vendor)와 MNO간의 계약 혹은 신뢰관계를 통해 서로 Provisioning을 위한 IMSI, 인증키, 가입자 변경 같은 정보를 input/output file형태로 주고 받았다. 이 경우에는 SIM카드가 착/탈식이 가능하고 eUICC의 환경과 같이 Remote management를 위한 Subscription Manager (TSM)가 필요하지 않은 상황이었기 때문에 가능했다. 하지만 eUICC환경은 UISM 카드가 보드에 embedded되어 출시 되고, Provisioning을 위한 정보들이 Remote에서 update되거나 이를 위해 새로운 entity인 SM (Subscription Manager)와 같은 형태가 추가 될 것으로 예상 된다. 또한, SM의 Trust정도에 따라 역할이 다양할 수 있고 이에 따라 eUICC architecture가 다양화 될 수 있는 상황이다.

SM이 MNOs들과 trust정도 혹은 MNOs들이 소유하여 운영하는 방법에 따라 eUICC 개통 및 가입 변경의 절차가 다양화 될 뿐만 아니라 MNO및 eUICC architecture에도 많은 변화를 미칠 수 있다.

첫째, SM의 Trust가 낮게 설계를 하게 되면 MNO credential들을 MNO운영 서버가 직접 관리를 하는 방안으로 구조가 되기 때문에 기존 USIM 구조형태가 많이 변화가 될 수 있다.

둘째, 기존의 MNO의 USIM 개통 구조에도 영향을 미칠 수 있다. (MNOs legacy 서버들의 변경을 필요로 하게 된다.)

셋째, eUICC환경에서 기존의 MNOs의 부가서비스 영역에도 영향을 미치지 않은 구조를 가지고 갈 수 있도록 해야 한다.

넷째, 가입 MNO를 여러 번 변경하는 경우 USIM memory의 사용을 최소화 해야 한다.

위의 종례 기술의 이슈 및 문제점을 해결 하기 위해 MNOs와 강력하게 trust 된 SM의 구조를 이용하여 기존의 eUICC architecture 변경을 최소화 하여 eUICC가입 절차 및 eUICC architecture 및 기능들을 제시 하도록 한다.

아래에서는 우선 도 1 내지 3을 기초로 본 발명이 적용될 수 있는 전체 시스템 구조와, 그를 이용한 가입 및 MNO 변경 과정에 대한 하나의 예시를 설명한다.

이와 같이, 기존의 착탈식 형태의 SIM과는 달리 단말에 일체형으로 탑재되는 내장 SIM (이하 eSIM 또는 eUICC이라 함)은 그 물리적 구조 차이로 인해 개통 권한, 부가 서비스 사업 주도권, 가입자 정보 보안 등에 대한 많은 이슈들이 존재한다. 이를 위해 GSMA 및 ETSI의 국제 표준화 기관에서는 사업자, 제조사, SIM Vendor 등의 유관 회사들과 최상위 구조를 포함한 필요한 요소에 대해 표준화 활동을 전개하고 있다. eSIM이 표준화 단체들을 통해 논의되면서 이슈의 중심에 있는 것은 Subscription Manager라고 불리는 SM으로 사업자 정보 (Operator Credential, MNO Credential, Profile, eUICC Profile, Profile Package 등)를 eSIM에 발급하고 Subscription 변경에 대한 프로세스를 처리하는 등 eSIM에 대한 전반적인 관리 역할을 수행하는 개체 또는 그 기능/역할을 의미한다. 최근 GSMA에서는 SM의 역할을 사업자 정보를 생성하는 역할을 수행하는 SM-DP (Data Preparation)과 eSIM에 사업자 정보의 직접적 운반을 수행하는 SM-SR (Secure Routing)로 분류한 구조를 제안하였으나, 세부적이며 기술적인 실제 발급 방식에 대해서는 언급하고 있지 않다. 이에 본 발명에서는 GSMA의 SM 역할 분리 환경에서 동적 암호키 (공개 키 등) 생성을 활용하여 eSIM을 관리하는 방안을 제시한다.

본 명세서에서는 eSIM과 eUICC를 동등한 개념으로 사용한다.

eSIM은 단말 제조 단계에서 IC칩을 단말 회로판 상에 부착시킨 후, 소프트웨어 형태의 SIM 데이터 (개통 정보, 부가 서비스 정보 등)를 OTA (Over The Air) 또는 오프라인 (PC와의 USB 등의 기술 기반 연결)을 통해 발급하는 방식의 새로운 개념의 SIM 기술이다. eSIM에서 사용되는 IC칩은 일반적으로 하드웨어 기반의 CCP (Crypto Co-Processor)를 지원하여 하드웨어 기반의 공개키 생성을 제공하며, 이를 어플리케이션 (예, 애플릿) 기반에서 활용할 수 있는 API를 SIM 플랫폼 (예, Java Card Platform 등)에서 제공한다. 자바 카드 플랫폼(Java Card Platform)은 스마트카드 등에서 멀티 어플리케이션을 탑재하고 서비스를 제공할 수 있는 플랫폼 중 하나이다.

SIM은 제한된 메모리 공간과 보안상의 이유로 누구나 SIM 내에 어플리케이션을 탑재해서는 안되며, 이로 인해 어플리케이션 탑재를 위한 플랫폼 이외에 SIM을 어플리케이션 탑재 및 관리를 담당하는 SIM 서비스 관리 플랫폼을 필요로 한다. SIM 서비스 관리 플랫폼은 관리키를 통한 인증 및 보안을 통해 SIM 메모리 영역에 데이터를 발급하며, 글로벌 플랫폼(GlobalPlatform)과 ETSI TS 102.226의 RFM (Remote File Management) 및 RAM (Remote Application Management)은 이와 같은 SIM 서비스 관리 플랫폼의 표준 기술이다.

eSIM 환경에서 중요한 요소 중의 하나인 SM은 eSIM은 원격으로 관리키(UICC OTA Key, GP ISD Key 등)를 통해 통신 및 부가 서비스 데이터를 발급하는 역할을 수행한다.

GSMA에서는 SM의 역할을 SM-DP와 SM-SR로 분류하였다. SM-DP는 사업자 정보 (IMSI, K, OPc, 부가 서비스 어플리케이션, 부가 서비스 데이터 등)를 안전하게 빌드하여 크레덴셜 패키지(Credential Package) 형태로 만드는 역할을 수행하며, SM-SR은 SM-DP가 생성한 크레덴셜 패키지를 OTA(Over-The-Air) 또는 GP SCP (Secure Communication Protocol)과 같은 SIM 원격 관리 기술을 통해 eSIM에 안전하게 다운로드하는 역할을 수행한다. 그리고 GSMA는 아래 그림의 “신뢰 서클(Circle of Trust)”이라는 구조를 제안하여 각 유사 개체들간 신뢰 관계의 중첩을 통해 MNO와 eSIM 간의 엔드-투-엔드(End-to-End) 신뢰 관계를 구축한다는 개념을 제안하였다. 즉, MNO는 SM1과, SM1은 SM4, SM4는 eSIM과 신뢰관계를 형성하여, 이를 통해 MNO와 eSIM 간의 신뢰관계를 형성한다는 개념이다.

본 발명을 설명하기 전에 우선 본 명세서에서 사용할 용어에 대하여 설명한다.

MNO(Mobile Network Operator)는 이동통신 사업자를 의미하며, 모바일 네트워크를 통해 고객에게 통신 서비스를 제공하는 엔터티를 의미한다.

SM(Subscription manager)는 가입 관리 장치로서, 내장 UICC의 관리 기능을 수행한다.

eUICC 공급자(eUICC Supplier)는 내장 UICC 모듈과 내장 소프트웨어(펌웨어와 오퍼레이팅 시스템 등)를 공급하는 자를 의미한다.

장치 공급자(Device Vendor)는 장치의 공급자, 특히 MNO에 의해서 구동되는 모바일 네트워크를 통한 무선 모뎀 기능을 포함하며, 따라서 결과적으로 UICC(또는 eUICC) 형태가 필요한 장치의 공급자를 의미한다.

프로비저닝(Provisioning)은 내장 UICC 내부로 프로파일을 로딩하는 과정을 의미하며, 프로비저닝 프로파일은 다른 프로비저닝 프로파일 및 오퍼레이션 프로파일을 프로비저닝할 목적으로 장치가 통신 네트워크에 접속하는데 사용되는 프로파일을 의미한다.

가입(Subscription)은 가입자와 무선통신 서비스 제공자 사이의 서비스 제공을 위한 상업적인 관계를 의미한다.

도 1은 본 발명이 적용되는 eSIM(eUICC)을 포함한 전체 서비스 아키텍처를 도시한다.

전체 시스템에 대해서 설명하면 다음과 같다.

가입정보가 저장되어 전달되는 시나리오가 필요하다면, MNO의 승인과 MNO의 컨트롤 하에서 이루어져야 한다. 특정 시각에 단일의 eUICC 상에는 1개만의 액티브 프로파일이 있어야 하며, 이 때 액티브 프로파일은 특정 시간에 단일 HLR에 부가되는 것을 의미한다.

MNO와 eUICC는 MNO 크레덴셜(Credentials) 정보를 복호할 수 있어야 한다. 이에 대한 유일한 예외는 예를 들면 SIM 벤더와 같이 특정 MNO으로부터 위임받은 제3 기관이 될 수 있다. 하지만, 이를 수행하기 위한 제3 기관의 일반적인 기능은 아니다.

가입(Subscription)은 오퍼레이터 정책 제어의 외부에서는 eUICC 내에서 스위칭될 수 없다. 사용자는 MNO 컨텐스트와 그의 활성화 가입의 어떠한 변경도 알고 있어야 하며, 시큐리티 위험을 피할 수 있어야 하고, 현재의 UICC 모델과 대적할 수 있을 정도의 시큐리티 레벨이 필요하다.

MNO 크레덴셜은 K, 알고리즘, 알고리즘 파라미터, 부가 서비스 어플리케이션, 부가 서비스 데이터 등을 포함하는 가입 크레덴셜을 의미할 수 있다.

MNO 크레덴셜의 전달은 종단에서 종단까지 안전한 방식으로 이루어져야 한다. 전송은 시큐리티 체인을 깨지 않는 연속적인 단계로 이루어질 수 있으며, 전송 체인의 모든 단계는 MNO의 인식 및 승인 하에서 이루어져야 한다. 전송 체인 내의 어떠한 엔터티도 MNO 크레덴셜을 명확하게 볼 수 없어야 하지만, 유일한 예외는 예를 들면 SIM 벤더와 같이 특정 MNO으로부터 위임받은 제3 기관이 될 수 있다. 하지만, 이를 수행하기 위한 제3 기관의 일반적인 기능은 아니다.

오퍼레이터는 자신의 크레덴셜에 대해서 완전한 제어권을 가져야 하며, 오퍼레이터는 SM 오퍼레이션에 대해서 강한 감독권과 제어권한을 가져야 한다.

SM 기능은 MNO 또는 제3 기관에 의하여 제공되어야 하며, 만약 제3 기관에 의하여 제공된다면 SM과 MNO 사이에는 상업적인 관계가 설정되어 있는 경우 등일 것이다.

SM은 가입 관리를 위해서 MNO 가입자와 어떠한 직접적인 관련도 없다. MNO가 가입자와 관계를 가지며 고객 가입을 위한 진입 포인트가 되어야 하지만, 이는 M2M 서비스 제공자(M2M 서비스 제공자는 MNO 가입자 임)가 자신의 고객과 가질 수 있는 계약 관계에 편승할 의도는 아니다.

MNO가 스왑(swap)되는 동안, 도너(Donor) 및 리시버 오퍼레이터는 서로 사전 계약이 있을 수도 있고 없을 수도 있다. 사전 계약을 승인할 수 있는 메커니즘이 있어야 한다. 도너 오퍼레이터의 정책 제어(Policy Control) 기능은 자신의 크레덴셜의 제거 조건에 대하여 정의할 수 있으며, 정책 제어 기능(Policy Control Function; PCF)이 이러한 기능을 구현할 수 있다.

아키텍처는 SM이라고 정의되는 기능을 도입하며, SM의 주요한 역할은 MNO 크레덴셜을 포함하는 패키지를 준비해서 eUICC로 전달하는 것이다. SM 기능은 MNO에 의하여 직접적으로 제공될 수도 있고, MNO가 SM 서비스를 획득하기 위하여 제3 기관와 계약할 수도 있을 것이다.

SM의 역할은 SM-SR, SM-DP와 같은 2개의 서브 기능으로 나뉘어 질 수 있다.

실제로, 이러한 SM-SR, SM-DP 기능들은 다른 엔터티에 의하여 제공될 수도 있고, 동일한 엔터티에 의해서 제공될 수도 있다. 따라서, SM-DP와 SM-SR의 기능을 명확하게 경계지을 필요가 있고, 이들 엔터티들 사이의 인터페이스를 정의할 필요가 있다.

SM-DP는 eUICC로 전달될 패키지의 안전한 준비를 담당하며, 실제 전송을 위하여 SM-SR과 함께 동작한다. SM-DP의 핵심 기능은 1) eUICC의 기능적 특성 및 인증 레벨(Certification Level)을 관리하는 것과, 2) MNO 크레덴셜(예를 들면, IMSI, K, 부가 서비스 어플리케이션, 부가 서비스 데이터 중 하나 이상이며, 이들 중 일부는 잠재적으로 MNO에 의하여 암호화(Enciphered)되어 있을 수 있음)을 관리하는 것과, 3) SM-SR에 의한 다운로드를 위하여 OTA 패키지를 계산하는 기능 등이며, 추후 부가적인 기능이 추가될 수 있을 것이다.

만일, SM-DP 기능이 제3주체(Third party)에 의하여 제공되는 경우에는 보안과 신뢰 관계가 아주 중요해진다. SM-DP는 실시간 프로비저닝(Provisioning) 기능 이외에도 상당한 정도의 백그라운드 프로세싱 기능을 보유할 수 있으며, 퍼포먼스, 스캐러빌러티(Scalablity) 및 신뢰도에 대한 요구사항이 중요할 것으로 예상된다.

SM-SR은 크레덴셜 패키지를 해당되는 eUICC로 안전하게 라우팅하고 전달하는 역할을 담당한다. SM-SR의 핵심 기능은 1) 사이퍼(Ciphered)된 VPN을 통한 eUICC와의 OTA 통신을 관리하는 것과, 2) eUICC까지 엔드-투-엔드(end-to-end)를 형성하기 위하여 다른 SM-SR과의 통신을 관리하는 기능과, 3) eUICC 공급자에 의하여 제공되는 SM-SR OTA 통신을 위해 사용되는 eUICC 데이터를 관리하는 기능과, 4) 오직 허용된 엔터티만을 필터링함으로써 eUICC와의 통신을 보호하는 기능(방화벽 기능) 등이다.

SM-SR 데이터베이스는 eUICC 벤더와 장치(M2M 단말 등) 벤더 및 잠재적으로 MNO에 의하여 제공되며, SM-SR 메시 네트워크를 통해서 MNO에 의하여 사용될 수 있다.

신뢰 서클(Circle of trust)은 프로비저닝 프로파일 전달 동안 엔드-투-엔드 시큐리티 링크를 가능하게 하며, SM-SR은 프로비저닝 프로파일의 안전dks 라우팅 및 eUICC 디스커버리를 위하여 신뢰 서클을 공유한다. MNO는 신뢰 써클내의 SM-SR 및 SM-DP 엔터티와 링크될 수 있으며, 자체적으로 이런 기능을 제공할 수도 있을 것이다. 고객과 관련된 MNO의 계약상 및 법률상 의무를 어기지 않고, eUICC의 불법적인 사용(클로닝, 크레덴셜의 불법 사용, 서비스 거부, 불법적인 MNO 컨텍스트 변경 등)을 방지하기 위하여, eUICC와 MNO 크레덴셜 사이의 안전한 엔드-투-엔드 링크가 필요하다.

도 2는 본 발명이 적용되는 제1차 가입의 프로비저닝 과정의 전체 흐름도이다.

프로비저닝 과정에서, eUICC는 기기 식별 정보 (IMEI 등)와 eUICC 식별 정보 (eICCid 등)를 포함하는 활성화 요청을 MNO로 전송한다.(1단계) 그런 다음 MNO와 eUICC 사이에는 eUICC 상태 요청 및 기술적 능력 제어 요청을 수행한다.(2단계)

3단계에서 MNO는 SM-SR과 사이에서 eUICC 아이덴터티 검증과, 장치(eUICC)에 대한 정보를 수집한다.

4 단계에서는 MNO가 SM-DP를 통해서 MNO에 맞는 새로운 eUICC 프로파일을 생성하고 그 프로파일을 특정한 암호키로 암호화한 후 MNO로 전달한다.(1차 암호화, 4단계)

다음으로, MNO는 1차 암호화된 eUICC 프로파일을 SM-SR로 전달한 후 2차 암호화를 요청하면, SM-SR은 이미 저장하고 있는 eUICC 관리키를 이용하여 eUICC 프로파일을 2차 암호화하여 MNO로 전달한다.(5단계)

그런 다음, MNO는 이중 암호화(Double Ciphered)된 eUICC 프로파일을 해당 eUICC로 전송한다.(6단계)

7단계에서는 프로비저닝을 종료한 eUICC와 SM-SR 사이에서 상태 요청과 그에 대한 응답에 의하여 SM-SR 데이터베이스를 업데이트 한다.

이러한 각 단계에 대해서 다시 설명하면, 다음과 같다.

1단계에서, eUICC 식별 정보(eICCid 등)는 공개된 데이터이며 eUICC 내부에 통합 보호되어야 한다.

2-3단계에서 상태 요청 및 기술적 가능성 제어는 eUICC 아이덴터티의 증명을 제공(신뢰할 수 있는 eUICC)하며, MNO 서비스를 위한 eUICC 특성의 적격성을 확인한다.

4~6단계에서는 eUICC 프로파일 생성 및 전송을 위하여 이중 암호화 메커니즘이 사용된다. 즉, SM-DP에 의하여 eUICC에 링크된 생성 프로파일은 오직 목표 eUICC에 의해서만 읽힐 수 있는 암호화 메커니즘에 의하여 암호화되며, SM-SR은 생성 프로파일을 eUICC 관리키로 암호화하여 전달 동안 eUICC를 인증하고 보호한다.

7단계에서, SM-SR 데이터베이스는 가입 설치(Subscription installation)의 마무리 단계에서 업데이트 될 수 있다.

도 3은 본 발명이 적용되는 가입 변경 또는 MNO 변경 과정의 전체 흐름도이다.

전체적으로는 도 2의 프로비저닝 과정과 유사(즉, 변경 후 새로운 MNO가 도 2의 MNO에 해당)하며, 다만 새로운 MNO에 대한 프로파일 생성 전후에 새로운 MNO가 도너 MNO에게 협상 및 권리 전송 과정을 수행하는 점이 상이하다.(단계 4-1)

즉, 도 3의 MNO 변경과정과 도 2의 프로비저닝 과정을 차이점은, 프로비저닝 또는 오퍼레이션 액티브 프로파일을 이용하여, 액티베이션 요청이 도너 MNO OTA 베어러(Bearer)로 전송되고, 새로운 MNO는 OTA 또는 OTI 중 하나로 새로운 프로파일을 다운로드 하도록 SM-SR로부터 경로를 요청하는 것이다.

협상 및 권리 전송 단계(단계 4-1)는 새로운 MNO가 이전 MNO(도너 MNO)에게 해당 eUICC가 정당한지 여부와, MNO 변경에 따른 권리(정보)를 이전해 줄 것을 요청하는 등의 과정이다.

즉, 4-1 단계에서는 새로운 MNO(Receiving MNO)가 가입 스위칭에 대해서 도너 MNO의 인증을 요청하며, 이러한 인증은 정책 제어 기능(Policy Control Function)에 의해서 제공될 수 있다.

GSMA에서 제안한 SM 역할 분리 환경은 SM에게 모든 사업적 주도권을 뺏길 수 있는 eSIM 환경에서 적절한 유연성 (모든 MNO가 각 MNO와 연동해야 하는 부분을 SM-SR을 통해 해결함)과 함께 사업주도권 확보 (SM-DP 역할은 일반적으로 MNO가 수행하게 될 것으로 보이며, SM-DP를 통해 통신 및 부가 서비스의 사업자 정보가 빌드됨)를 동반할 수 있는 이점이 있다. 하지만 이 구조를 기반으로 세부적인 eSIM 관리 방안이 존재하지 않음으로써 각 사업자 정보의 안전성 확보, eSIM 시스템 도입 시 발급 흐름 정의 등의 어려움이 존재한다.

이에 본 발명에서는 GSMA에서 제안한 SM 역할 분리 환경에서 동적 공개 키 생성을 활용하여 eSIM을 안전하게 관리 방안을 제시한다. 세부적으로 기본 개통 구조, 타사 이동 구조 및 프로세스의 방안을 제시한다.

본 발명의 기본적인 상위 구조는 도 1의 eSIM 구조를 근간으로 한다. 본 명세서에서 그림 상에 명시된 SM은 단일 SM 개체이거나 “Circle of Trust”의 SM 개체들일 수 있다.

도 4는 본 발명의 일 실시예에 의한 사전 개통 요청 과정에서의 eUICCC 내부 구조 및 신호 흐름을 도시한다.

본 발명이 적용되는 전체 시스템은 도 4의 오른쪽 그림과 같다.

즉, 1. 각 섹터는 MNO(들)에 의하여 강한 신뢰 관계로 형성되며, 도 4의 점선은 강한 신뢰 관계(Strong trust relationship)임을 나타낸다.

SM-SR(Subscription Manager ― Secure Routing)은 MNOs들이 직접 운영을 하거나 strong trust관계로 MNOs들과 TSM 형태로 MNOs network 안에서 운영 된다. SM-SRs 사이에도 trust relationship이 있고 SM-SR은 여러 개의 MNOs와 relationship이 존재 할 수 있다. SM-SR은 실제 가입요청을 처리하며 MNO profile을 eUICC에 OTA로 loading하는 주체이다.

SM-DP(Subscription Manager ― Data Preparation)는 MNOs들이 직접 운영 하거나 strong trust관계로 MNOs들과 TSM 형태로 MNOs network 안에서 운영 된다 (하지만, 가급적 MNOs들이 직접 운영하는걸 추천하는 형태이다.) SM-DP는 MNO Profile을 생성, 저장, 관리 한다.

MNO는 SM-SR과 SM-DP와 연동하는 추가 인터페이스 부분만 기존 MNO 서버에 추가하면 된다.

본 발명의 실시예에서는 보호 프로파일(Protection Profile)을 새로이 정의하며, 반드시 이러한 용어에 한정되는 것은 아니며, 아래와 같은 기능을 수행하는 한 다른 용어로 표현될 수도 있을 것이다.

보호 프로파일은 eUICC 내부에 구현되는 프로파일로서, SM의 기능들을 수행하기 위해서 MNO들이 사용하는 Protection Profile을 정의한 것이다. 이러한 보호 파일은 MNO들이 공통으로 agree하여 사용할 수 있다 (MNO별 기능의 fragmentation을 방지하여 공식적 certification기능을 위해서는 공통으로 agree하여 사용을 추천한다.) 또는 혹은 MNO별로 따로 해당 기능을 agree하지 않고도 가능 할 수 있다.

본 발명의 보호 프로파일은 Integrity, Confidentiality, Authenticity가 적용 되야 하며, 암호화 된 MNO profile을 복호화 및 인증 등의 역할을 한다. 또한, Integrity & Authentication 보장하기 위하여, 암호화 된 key값(SM-SR 키, MNO 키) 들을 복호화 및 인증 등의 역할을 하며, 이를 위해 공개키/비밀키/Password방식 등도 이용 가능 (Atuenticity 보장)하고, MAC(Message Authentication Code), MDC(Manipulation Detection Code) 등 이용 가능 (Integrity 보장)하다.

본 발명의 일 실시예에서 정의되는 데이터로서, SM-SR key가 있다. SM-SR키는 실제 OTA를 통해 Profile load, change, delete를 수행 시 인증 할 수 있는 key로서, 반드시 이러한 용어에 한정되는 것은 아니며, 초기 MNO Profile을 loading 하거나 중간에 changing 혹은 deleting과 같은 administration 기능을 할 수 있는 인증정보로서의 key이라면 다른 용어로 표현될 수도 있을 것이다.

또한, 본 발명의 일 실시예에서 정의되는 데이터로서 MNO Key가 있다, MNO 키는 각 MNO가 MNO서비스를 위해 사용 하기 위한 인증 key이다. MNO 키는 반드시 이러한 용어에 한정되는 것은 아니며, MNO의 부가 서비스 등 MNO가 기존에 하던 서비스를 이용 할 때의 인증 정보로서의 key 이라면 다른 용어로 표현될 수도 있을 것이다.

MNO 식별 key는 SM-SR이 MNO의 relationship을 통해 관리하는 MNO 식별 정보로서의 key를 의미한다.( 어떤 MNO에 대한 identification역할)

또한, First Subscription Profile는 실제 개통을 요청하기 위한 SM-SR 접속 정보 및 SM-SR과 relationship을 가지고 있는 MNO의 식별 key 등을 관리 한다.

도 4 내지 도 7을 참고하면, 본 발명은 MNOs와의 strong trusted relationship을 가지고 있는 SM환경에서 초기 개통 절차 및 그에 따른 eUICC architecture를 설명한다.

도 4의 1단계에서와 같이, 단말은 네트워크/오프라인/온라인(전용선)을 통해 MNO1에게 eUICC 기본 정보와 함께 “사전 개통 요청”을 한다.

도 5의 2단계에서, MNO1은 eUICC에게 다음과 같은 정보를 네트워크/오프라인/온라인(전용선)을 통해 처리한다.

이러한 도 5의 2단계에서는 trusted 된 SM-SR1 (혹은 직접/공동 운영하는 SM-SR1)의 접속 정보를 First Subscription Profile에 제공하고, MNO1의 식별 key 를 First Subscription Profile에 제공하며, Protection Profile은 다음의 절차를 수행한다.

1) 향후 “실제 가입 요청” 때 OTA로 제공 될 encrypted MNO1 Profile을 복호화 하기 위한 key를 생성하고 암호화 key를 MNO1에게 전달

2) SM-SR1의 key 복호화 하기 위한 key 생성 하고, 그에 대응되는 암호화 key를 SM-SR1에 전달

3) MNO1의 key를 복호화 하기 위한 key 생성 하고, 그에 대응하는 암호화 key를 MNO1에 전달

도 5의 3단계에서, MNO1은 “사전 가입 요청” 때 받은 eUICC 기본 정보와, MNO1의 식별 key를 SM-SR1에게 알리고 SM-SR1은 그 정보를 mapping 한다.

또한, 도 5의 3단계에서는 추가로 MNO1이 MNO1 profile생성시 사용할 encryption key를 SM-DP1에 저장한다.

도 6의 4 단계에서는, “실제 개통 요청”을 아래와 같은 정보를 이용하여 SM-SR1에 시도 한다.

1) 사전 가입 요청”시 기본 정보, 2) MNO1의 식별 key, 3) SM-SR1의 접속 정보

그러면, 도 6의 5단계에서, SM-SR1은 mapping(사전 가입 요청”시 기본 정보, MNO1의 식별 key)의 일치 확인 후, 사전에 MNO1으로부터 배포된 “MNO1의 encrypted key”와 “SM-SR1의 encrypted key”를 eUICC에게 제공한다. 이 때, Protection Profile은 “MNO1의 encrypted key”와 “SM-SR1의 encrypted key”를 복호화 한다. (이미 상기 도 5의 2단계에서, eUICC의 보호 프로파일이 SM-SR 키와 MNO 키를 복호화 할 수 있는 복호키를 생성하여 관리하고 있음)

다음으로, 도 6의 6단계에서, SM-SR1은 MNO1에게 “MNO1의 encrypted key” 제공 사실을 알린다.

도 7은 프로비저닝 과정으로서, 도 7의 7단계에서 MNO1은 SM-DP1에게 MNO1 profile 생성 요청하면, SM-DP1은 “사전 개통 절차”때 받은 보안 key로 MNO1 profile을 encryption하여 MNO1에게 전달한다.

도 7의 8단계에서 -SR1은 “encrypted MNO1 profile”을 MNO1으로부터 전달 받는다. 9단계에서, SM-SR1은 OTA를 통해 eUICC에 이를 전달하고 Protection Profile은 “encrypted MNO1 profile”을 복호화 한 후 복호화된 eUICC는 SM-SR1 key를 이용하여 MNO1 Profile을 load 및 설치 한다.

본 발명을 통해 GSMA에서 제안한 SM 역할 분리 환경에서 통신 및 부가 서비스에 대한 사업자 정보를 안전하게 eSIM에 발급하는 것이 가능하다.

이상의 설명은 본 발명의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 따라서, 본 발명에 개시된 실시 예들은 본 발명의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시 예에 의하여 본 발명의 기술 사상의 범위가 한정되는 것은 아니다. 본 발명의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 할 것이다.

Claims (1)

1. 가입관리장치(Subscription Manager; SM)가 SM-SR(Secure Routing) 및 SM-DP(Data Preparation)으로 분리 구현된 통신 시스템에서 사용되는 내장 UICC(embedded Universal Integrated Circuit Card; eUICC)로서,
   상기 eUICC 장치는 1 이상의 통신 사업자(MNO)에 대한 MNO 프로파일의 복호화 및 SM-SR 키 및 MNO 키를 복호화할 수 있는 보호 프로파일(Protection Profile)을 포함하며,
   상기 eUICC 장치는 실제 개통을 요청하기 위한 SM-SR 접속정보 및 해당 SM-SR과 관계를 가지고 있는 MNO 식별정보를 최초 가입 프로파일(First Subscription Profile)로 저장하는 것을 특징으로 하는 내장 UICC 장치.
   
   

Images